1022

Plugin Fearless Wallet expôs chaves privadas por 20 meses: 8 usuários perderam 17.286 $DOT , e a fundação pede que os fundos sejam migrados

Conclusão: não foi uma vulnerabilidade de segurança comum, mas um código malicioso escondido no código-fonte aberto por quase 20 meses. A forma mais perigosa de uma carteira quente de navegador é justamente aquela que parece estar funcionando normalmente.

Os fatos vêm do comunicado de segurança publicado em 21 de outubro pela Fundação da Comunidade Polkadot (mesmo dia dos relatos de Cryptopolitan, Crypto Briefing e CoinMarketCap):

1. O código malicioso foi introduzido no código-fonte público do plugin Fearless Wallet em 19 de fevereiro de 2025, por meio do PR #1022 no GitHub (uma grande atualização chamada "ecossistema TON"). Ele foi ativado de forma intermitente até 10 de outubro de 2026, por um período de cerca de 571 dias. Foram afetadas quatro versões do plugin para navegador: 3.0.1, 3.0.3, 3.0.4 e 3.0.5.

2. A única condição para ativá-lo era o usuário desbloquear a carteira normalmente: o plugin coletava a frase-semente ou o arquivo de backup junto com a senha da carteira, "criptografava" os dados usando uma senha vazia (algo que qualquer pessoa poderia reverter) e os enviava a um servidor externo. No dia do comunicado, 21 de outubro, a versão 3.0.5 ainda estava disponível na Chrome Web Store, com cerca de 6.000 usuários. Foi confirmado que a versão para Firefox continha o mesmo código; as versões para Android/iOS aprovadas nas lojas não o continham.

3. Perdas confirmadas: 8 usuários relataram transferências não autorizadas relacionadas ao incidente, num total de 17.286 DOT, equivalentes a cerca de US$ 20.500, segundo o preço informado pela CoinMarketCap na ocasião. Como as chaves privadas expostas podem ficar à espera do momento certo para serem usadas, o número real de contas comprometidas pode ser muito superior aos 8 casos relatados.

Minha avaliação:
Primeiro, trocar a senha ou reinstalar o plugin não salvará chaves privadas que já foram expostas — nas palavras da fundação: "uma vez exposta, a chave privada deixa de ser segura em qualquer lugar em que seja usada". A única solução é criar uma nova carteira, gerar uma nova frase-semente e migrar os fundos.
Segundo, a fundação fez questão de enfatizar que a Fearless "nunca foi uma carteira oficial". Cada atualização automática de um plugin de terceiros é uma nova transferência de confiança para outra parte, muitas vezes sem que os usuários percebam.
Terceiro, o código malicioso foi removido do código-fonte em 25 de junho de 2026, mas continua presente nas versões antigas 3.0.3–3.0.5 já instaladas; um interruptor remoto pode reativá-lo a qualquer momento. O perigo não está no repositório de código, mas na lista de extensões do seu navegador.

Para quem mantém criptoativos parados por muito tempo, este incidente merece atenção especial: quando uma chave privada é exposta, não existe "janela para remediar" — só existe o "tempo de exposição". Carteiras de navegador são adequadas para guardar dinheiro de bolso, não para funcionar como um cofre.

Apenas uma opinião pessoal; não constitui aconselhamento de investimento.

#Polkadot #钱包安全 $DOT